Acces depuis un sous reseau à la DMZ

par **ed3000** » 16 Mars 2004 11:17

Voila je gère un domaine comportant trois sous réseau, l'accés à internet se fait par une passerelle/firewall IPCOP. Ma problématique est la suivante : Le réseau green qui se trouve en 192.168.30.0/24 accède à internet et à la DMZ les deux sous réseaux sont reliés au réseau green par des routeurs CISCO et des lignes spécialisés, ils ont bien accés à tout le réseau green (interface green d'ipcop comprise), ils ont respectivement les adresses 192.168.1.0/24 et 192.168.31.0/24 la DMZ se trouve en 192.168.32.0/24. ces deux sous réseaux ne peuvent ni accéder à la DMZ ni à internet... Aprés des recherche sur ce site et d'autres j'ai compris que seul le réseau green pouvait par défaut avoir accés à la DMZ et à internet... J'ai donc modifié mes règles IPTABLES de la manière suivant : iptables -A INPUT -s 192.168.1.0/24 -j ACCEPT iptables -A OUTPUT - s 192.168.1.0/24 -j ACCEPT iptables -A FORWARD -s 192.168.1.0/24 -j ACCEPT J'ai fait la même manipulation pour les deux sous réseaux. Cela n'a pas résolu mon problème.. Avez-vous une solution ???

par **trollx** » 16 Mars 2004 11:31

SAlut Je n'ai pas de soluce car jamais testé mais va voir de ce coté, ça te donneras pitetre des idées : <a href="http://www.ixus.net/modules.php?name=Content&pa=showpage&pid=103" target="_blank">http://www.ixus.net/modules.php?name=Content&pa=showpage&pid=103</a>

par **Franck78** » 16 Mars 2004 11:59

Ton cisco route bien vers ipcop tout ce qu'il recoit et qui n'est pas pour GREEN ?

par **tomtom** » 16 Mars 2004 12:28

Il faut 1- Que les cisco aient leur route par defaut vers l'adresse green de IPCop 2- Que IPCop connaisse les routes vers les reseaux distants (donc 2 routes à ajouter dans IPCop !!) ex : sur le cisco 1 (une interface en 192.168.1.251, une en 192.168.30.251) ajouter la route par defaut vers ipcop (192.168.1.1 par exemple) sur IPCop : route add -net 192.168.30.0 netmask 255.255.255.0 gw 192.168.30.251 etc... Deplus, pour l'acces au net, verifier les règles iptables (mais je pense qu'elles sont OK), et eventuellement les ACL squid t.

par **ed3000** » 16 Mars 2004 12:59

Merci pour vos réponses... Pour ce qui est des routes je les avaient bien ajoutées... Par contre si je met comme passerelle par defaut sur mes routeurs l'adresse d'ipcop, cela risque de me poser des problèmes de routage vers les autres sites distants du groupes (rebond vers ipcop pour retourner sur les autres sites..) Exemples je suis sur le réseau 192.168.31.0/24, je veux acceder au site 192.168.1.0/24, si je met ma passerelle par défaut en 192.168.30.23 (adresse interface green IpCop) je suis obligé de passer systématiquement par là ???.... Autres infos : j'arrive à Pinguer l'interface green d'ipcop sans problème depuis mes sites distants. Je penses donc que c'est bel et bien IPCOP qui me bloque l'accés à la DMZ depuis ces sous réseaux...

par **Franck78** » 16 Mars 2004 13:14

Le boulot d'un routeur c'est : router. Pour ca on lui a collé des tas de protocoles : rip, ospf, igrp,...., Le statique c'est vraiment en dernier lieu. Donc laisse tes routeurs décider, et indique seulement dans l'un d'eux qu'il existe un route pour telle destination à travers IPCOP. Après ils se demerdent ! _________________ Franck <IMG SRC="images/smiles/icon_wink.gif">

par **tomtom** » 16 Mars 2004 13:45

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2004-03-16 11:59, ed3000 a écrit: Par contre si je met comme passerelle par defaut sur mes routeurs l'adresse d'ipcop, cela risque de me poser des problèmes de routage vers les autres sites distants du groupes (rebond vers ipcop pour retourner sur les autres sites..) Exemples je suis sur le réseau 192.168.31.0/24, je veux acceder au site 192.168.1.0/24, si je met ma passerelle par défaut en 192.168.30.23 (adresse interface green IpCop) je suis obligé de passer systématiquement par là ???.... </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> NON ! C'ets une route par defaut, ce qui sognifie : "Si je ne trouve aucune route, je passe par là". (d'ailleurs, sur un cisco, ce n'est pas "default gateway" mais "Gateway of last resort", ce qui est plus parlant <IMG SRC="images/smiles/icon_wink.gif"> ) La route par defaut doit forcement etre celle qui permet de sortir sur internet. En revanche, tu dois avoir une route aussi pour chacun des réseaux distants, mais ça tes routeurs doivent l'epprendre par un protocole de routage, à moins que les routes n'aient été rentrées toutes à la main.... Pour verifier tes routes, et savoir qi c'ets une règle IPCop qui bloque, fais un traceroute vers une ip internet ( a partir du cisco, ou d'un poste d'un site distant). Si tu passes par le cisco puis le ipcop et que ca bloque, c'ets un probleme de regle. Sinon, tes routes sont fausses. t.

Acces depuis un sous reseau à la DMZ

Qui est en ligne ?